CRACI vs. Aikido

Keskittäminen vai näyttö

Tiimit tutustuvat Aikidoon yleensä siksi, että ne haluavat vähemmän tietoturvatyökaluja. Aikido kattaa avoimen lähdekoodin riippuvuudet, oman koodin, salaisuudet, infrastruktuurin koodina, kontit, pilven tietoturvatilan, dynaamisen testauksen ja ajonaikaisen suojauksen yhdessä tuotteessa, ja löydösten triagelle on yksi paikka. Pienelle tiimille, joka tarvitsee laajan kattavuuden nopeasti, se on vahva tarjous.

CRACI:iin tutustutaan suppeammasta syystä. Tiimien täytyy tietää, mitä niiden buildit todella tekivät, hallita, mihin buildi pääsee, ja tuottaa jokaisesta julkaisusta näyttöä, joka kestää asiakkaan tai auditoijan tarkastelun. CRACI tekee sen olemalla itse CI-runneri.

Missä Aikido on hyvä

Laajuus on pääasia. Jokaisessa Aikidon tilauksessa on SCA, SAST, salaisuuksien tunnistus, IaC, pilven tietoturvatila, konttiskannaus, DAST, lisenssiskannaus ja SBOM-generointi. Sen SCA käyttää funktiotason reachability-analyysia kohinan vähentämiseen, ja AutoFix avaa pull requesteja paikatuilla versioilla. CI:ssä se voi estää pull requestit, joissa on kriittisiä riskejä, ja se toimii GitHubin, GitLabin, Jenkinsin, Bitbucketin, CircleCI:n ja muiden kanssa. CRACI tukee tällä hetkellä vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla.

Aikido tarjoaa myös Safe Chainin, ilmaisen työkalun, joka ajaa paikallista välityspalvelinta npm:n ja PyPI:n paketinhallintatyökalujen edessä ja estää tunnettua haittaohjelmaa sisältävät paketit ennen asennusta, paikallisesti ja CI:ssä. CRACI ei tällä hetkellä estä yksittäisiä paketteja. Koko organisaation kattava pakettien estolista on CRACI:n tiekartalla, ei tuotteessa.

Vaatimustenmukaisuuden osalta Aikidon ylemmät tilaukset sisältävät SOC 2- ja ISO 27001 -raportit sekä synkronoinnin Drata- ja Vanta-tyyppisiin compliance-alustoihin. Jos päätavoitteesi on syöttää sovellusturvallisuuden löydöksiä SOC 2 -ohjelmaan, Aikido on tehty siihen.

Miten CRACI eroaa

CRACI on CI-ajoympäristö

Aikidon ajonaikainen suojaus suojaa käynnissä olevia sovelluksia. CRACI toimii toisessa ajoympäristössä: buildin jobissa. GitHub Actions -jobisi ajetaan CRACI:lla eristetyissä virtuaalikoneissa, 1–32 laskentayksikön runnereilla, x86-64- tai ARM64-arkkitehtuurilla. Käyttöönotto tarkoittaa, että vaihdat runs-on-arvoksi craci. Työnkulkusi pysyvät ennallaan, ja ajot näkyvät edelleen GitHubin käyttöliittymässä.

Koska CRACI ajaa jobin, se voi valvoa egress-käytäntöä jobin aikana. Käytännöt ovat oletuksena estäviä tai oletuksena sallivia, ja niissä on 24 valmista ohjelmistolähteiden esiasetusta sekä tyypitetyt omat lähteet npm:lle, PyPI:lle, aptille, apk:lle, Go-proxylle, Nixille, Cargolle, OCI-rekistereille ja Gitille. Ne validoidaan ennen jobin käynnistymistä, ja virhetilanteessa liikenne estetään (fail closed). Skanneri voi kertoa, että riskialtis paketti on olemassa. Verkkokäytäntö estää buildia pääsemästä paikkoihin, joihin sen ei pitäisi päästä.

Deterministinen buildin näyttö

Aikido muodostaa riippuvuusnäkymänsä manifesteista ja lukitustiedostoista ja lisää niiden päälle analyysia, kuten tekoälypohjaisia hyödynnettävyystarkistuksia. Se on järkevä tapa priorisoida työtä.

CRACI:n SBOM ei perustu päättelyyn. Pakettitietoinen välityspalvelin tallentaa, mitä jobi haki pakettilähteistä, ja riippuvuustiedot kulkevat CI-välimuistien mukana, joten myös välimuistista palautetut paketit lasketaan mukaan. Jokainen SBOM ilmoittaa oman kattavuutensa jobi- ja välimuistikohtaisesti: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. Se on kirjaus siitä, mitä tapahtui, ei arvio, ja se kertoo, missä siinä on aukkoja.

Tällä on merkitystä, koska staattiset SBOM-työkalut ovat keskenään eri mieltä useammin kuin useimmat odottavat, ja syy on rakenteellinen. Kukin lukee eri joukon tiedostoja ja ratkaisee ne eri tavoin, joten se, mitä repositorion sanotaan sisältävän, riippuu siitä, mitä työkalua käytit ja miten se oli konfiguroitu. Projekti, joka ei tallenna lukitustiedostoa versionhallintaan, kuten express 5.2.1 ei tallenna, ei anna lukitustiedostoja lukevalle työkalulle mitään ratkaistavaa. CRACI:a ei voi verrata näillä ehdoilla, koska se tallentaa buildeja eikä skannaa hakemistoja, ja juuri se on tarkoitus: buildin kirjaus ei riipu siitä, mitkä tiedostot sattuvat olemaan paikalla.

Alkuperätiedot API:n kautta

CRACI generoi SBOM:n omassa runnerissaan sen perusteella, mitä jobi haki. API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot (provenance).

Vaatimustenmukaisuus tämän kirjauksen pohjalta

EU:n kyberkestävyyssäädöksessä (Cyber Resilience Act, CRA) vaikeinta on osoittaa, mitä kuhunkin julkaisuun sisältyi ja miten sen haavoittuvuuksia seurataan ajan mittaan. CRACI kokoaa haavoittuvuudet buildien ja repositorioiden yli ja arvioi seuratut SBOM:t jatkuvasti uudelleen. SBOM:t viedään CycloneDX- tai SPDX-muodossa haavoittuvuuksineen, ja API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. Se automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuuden prosessiinsa. Katso CRA-vaatimustenmukaisuus ja CRA-näyttö.

Inventaario siitä, mitä on käytössä missäkin

CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa maailmanlaajuisesti. Kun uusi haavoittuvuus julkaistaan, näet, missä tuotteissa haavoittuvaa versiota ajetaan, eikä sinun tarvitse koota tietoa julkaisutiedoista ja taulukoista.

Kumpi sopii mihinkin

• Valitse Aikido, kun haluat yhden työkalun, joka kattaa koodin, riippuvuudet, pilven ja käynnissä olevat sovellukset, käytät nyt muita CI-järjestelmiä kuin GitHub Actionsia tai vaatimustenmukaisuudessa painottuu SOC 2- tai ISO 27001 -raportointi sovellusturvallisuuden löydöksistä.
• Valitse CRACI, kun buildaat GitHub Actionsilla ja sinun täytyy tietää tarkasti, mitä kukin buildi haki, hallita buildin verkkoyhteyksiä ja säilyttää julkaisujen näyttö CRA:ta ja asiakasauditointeja varten.
• Käytä molempia, kun haluat Aikidon skannauksen ja pull requestien portituksen sekä CRACI:n buildin ajonaikaiset kontrollit ja näytön. Aikidon CI-checkit ja Safe Chain ajetaan työnkulkusi vaiheina, ja nämä vaiheet voivat ajaa CRACI-runnerilla kuten mitkä tahansa muutkin.